virus in cartella system 32

[toti64]

Salve e grazie per eventuale consiglio,,, ho un portatile con antivirus nod 32, facendo la scansione ho trovato un virus nella cartella system32,,,,, il file infetto è questo Deskadph.dll win 32/BHO.AGZ cavallo di troia,,,, ho prevato sia con antivirus sia direttamente entarndo nella cartella,, ma mi viene negato la cancellazione credo perchè si tratti di un file usato dalla scheda video....... esiste un modo per eliminarlo oppure l'unica soluzione è formattare hard disc???? grazie infinite

[SkunkWorks 68]

Hai provato ad eliminarlo dalla modalità provvisoria?
Se hai XP devi disabilitare il ripristino configurazione sistema.
Ciao

[toti64]

no dalla modalità provvisoria non ho provato,,,,,,, non lho mai fatto.... se è possibile essere guidato va bene..... devo dirti un'altra cosa,,, che di quei file cè ne due uguali,,,, ma se uno riesco a cancellarlo poi mi riappare subito l'altra copia invece proprio me lo impedisce...
si ho xp non ho fatto una ripristino configurazione da un'altra data antecedente magari potrei risolvere ancehe così... comunque se mi dici come fare in modalità provvisoria provo.... grazie

[SkunkWorks 68]

Per avviare in modalità provvisoria:premi F8 ripetutamente all'avvio della macchina.Con i tasti up/down scorri fino a raggiungere la dicitura "modalità provvisoria">invio.Aspetti che parta il sistema e da lì lanci normalmente la scansione con l'antivirus e alla fine provi ad eliminare i files infetti.
Disabilitare il ripristino configurazione in XP(vedi sotto):http://www.megalab.it/articoli.php?id=510
Ciao

[toti64]

bene grazie ci proverò,,, ti faccio sapere com'è andata... hola

[toti64]

Allora scusa ritardo nella risposta,,, ma il problema persiste anche in modalità provvisoria, mi dice sempre che il file è protetto da scrittura oppure in uso da un programma, ho provato a rinominarlo cancellarlo, ho anche provato a vedere se c'era qualche punto nel ripristino configurazione antecedente al virus,, ma era disattivato...... non ho idea su come fare a risolvere questo problema senza dover per forza formattare tutto..... attendo nuove soluzioni.... grazie infinite.

[ptrc_000]

ciao a "TUTTI"!!!
essendo 'nuovo',spero di non sbagliare a postare,(la modalità)...
x il 'tuo' virus,ti consiglierei di 'lanciare' HijackThis...
avendo cura di seguirne una guida in Italiano,(se si può postare un link a riguardo,potrei indicarti)-
non cancellare 'niente ,nel caso ti dia Virus..ma prova a scansionarli uno ad uno col tuo antivirus..
oppure 'copiali' e 'incollali',in questo topic.
così magari gli diamo un'occhiata...
(ps x lo Staff: nelle regple del forum,non ho 'trovato' niente riguardo al postare log-file di questo tipo...se gentilmente,vorreste darmi indicazioni..GRAZIE!!!)

[toti64]

non ben capito che cosa debba fare per favore un aiuto comprensibile,,,,,,,,

[ptrc_000]

non ben capito che cosa debba fare per favore un aiuto comprensibile,,,,,,,,

1):scaricare HijackThis,QUì:http://www.p2pforum.it/forum/showthread.php?t=30037
2):leggere "attentamente la guida".
3): copiare e incollare il File-Log,se possibile in questo topic,oppure nella 'sezione' apposita.
4): Non Cancellare nulla!!!
spero di cuore di essere stato abbastanza chiaro... :

[toti64]

si lo sei stato ora ci provo e poi ti faccio vedere il file log

[netstudio]

dovresti entrare in ms dos e fare il copia/sostituzione del file ... io ho risolto così

[toti64]

scusa il ritardo ma ho abuto altri problemi... ti invio il file log ti trammento che ho un virus che non riesco ad eliminare in quanto mi dice che è in uso


ciao e grazie

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11.30.11, on 22/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\slserv.exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\MSATL32.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe
C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: TotoDesk Class - {1B689522-64CD-46A3-B454-BCB4A7F55E78} - C:\WINDOWS\system32\toto.dll
O2 - BHO: bho3 Class - {58FB2CBB-C874-45FC-A1C9-B62CC9E3BED9} - C:\Documents and Settings\User\813191445.dll (file missing)
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Programmi\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: (no name) - {6EC4D450-BC5E-4AC7-A5A7-72302FE79DA5} - C:\WINDOWS\system32\deskadph.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: WebManager Class - {D5792AA9-D373-4039-8670-2CDAB6A71F15} - C:\Programmi\BitDownload\TorrentManager.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Programmi\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [proksiak] C:\WINDOWS\prossl.exe --start
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [updateMgr] C:\Programmi\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [Mix Camp] C:\DOCUME~1\User\DATIAP~1\SOFTPO~1\Default 64 Proxy.exe
O4 - HKCU\..\Run: [spoolw] C:\WINDOWS\system32\spoolw.exe
O4 - HKCU\..\Run: [igfxsvc] C:\WINDOWS\system32\igfxsvc.exe
O4 - HKCU\..\Run: [MSWTL32] C:\WINDOWS\MSATL32.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\service32.exe
O4 - HKLM\..\Policies\Explorer\Run: [5T19I3B27A] C:\WINDOWS\svchost.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.olidata.com
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: GoogleDesktopManager - Google - C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 7679 bytes

[Dylan666]

Sposto nella sezione dedicata ai virus

[Luke57]

Ciao, sei molto infetto, scarica systemscan da qui http://www.suspectfile.com/systemscan , avvialo, seleziona tutte le opzioni e premi su "Scan now". Alla fine della scansione recati in c:\suspectfile, qui troverai un file del tipo data+ora.zip,
caricalo su un sito di hosting (easyshare,sendmefile o affini) senza postarlo perchè è troppo lungo.
Fornisci il link che ti sarà dato per poterlo vedere.

[toti64]

ciao e grazie..... non pesni sia il caso a questo punto formnattare??? perchè un'operazione che mi sembrava nella norma si sta sviluppando di volta in volta,,, nel senso che ora dovreio scaricare un'altro programma per fare un'altro scanner e poi rimetterlo qui nel forum..... per me diventa quasi fantascienza,,,, da una parte sono tentato di entrare sempre di più in questa esplorazione ma dal momento che il pc non è mio credo che a questo punto gli possa consigliare di formattarlo........tu che pensi?????

[Luke57]

Ciao, l'operazione suggerita è molto facile, permette di avere una radiografia esaurientissima sullo stato del pc. Una volta creto il report, lo devi inserire in un sito di hosting (easyshare.com) , come ti ho detto, non copiato in un post perchè troppo lungo. Io potrò così esaminarlo.
Le infezioni non mancano, sta a te scegliere che cosa fare, io sono disponibile ad aiutare.

[toti64]

http://w15.easy-share.com/1699671533.html
<a target="_blank" href="http://w15.easy-share.com/1699671533.html">download</a>
download
http://w15.easy-share.com/1699671533/de ... wydr4i9b7o
ciao allora credo di avere fatto come mi hai consigiato............ in attesa di tue notizie vorrei solo anche rammentareti c he uno dei problemi grossi è quello menzionato all'inizio,,, cioè la non possibilità di cancellare un virus in quanto in uso dal pc,,,,, ciao e grazie

[Luke57]

Ciao, scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
Decomprimi l'archivio
Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte seguenti:

files to delete:
C:\WINDOWS\system32\drivers\vjuzcelj.dat
C:\WINDOWS\system32\toto.dll
C:\Documents and Settings\User\813191445.dll
C:\WINDOWS\system32\spoolw.exe
C:\WINDOWS\system32\igfxsvc.exe

folders to delete:
C:\DOCUME~1\User\IMPOST~1\Temp
C:\windows\tasks

registry keys to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1B689522-64CD-46A3-B454-BCB4A7F55E78}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{58FB2CBB-C874-45FC-A1C9-B62CC9E3BED9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Mzemz
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Obgob
HKLM\system\currentcontrolset\services\mnzbrlpi

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | proksiak
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | 1
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | 5T19I3B27A


Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs


Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi ok e poi yes.
Il pc dovrebbe riavviarsi da solo, se così non fosse riavvialo manualmente.
Allega poi il log generato da avenger, lo trovi in C:\avenger.txt è un file di testo.

Inoltre, al riavvio, apri il registro di sistema (start>esegui>regedit (lo digiti nello spazio)>OK
Aperto l'editor cliccando sul segno + acccanto alle singole voci, segui questo percorso:
HKEY_CURRENT_USER +
Software +
Microsoft +
Windows +
CurrentVersion +
Run
click sulla cartella run, sulla destra dovresti trovare, sulla parte destra:
spoolw"="C:\WINDOWS\system32\spoolw.exe"
igfxsvc"="C:\WINDOWS\system32\igfxsvc.exe"
MSWTL32"="C:\WINDOWS\MSATL32.exe"
"Mix Camp"="C:\DOCUME~1\User\DATIAP~1\SOFTPO~1\Default 64 Proxy.exe"
click tasto dx su ogni singola voce e scegli Elimina

Poi segui questo percorso (sempre cliccando sul segno +):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions
come sottovoci dell'ultima dovresti trovare:
Mzemz
Obgob
click tasto dx su ognuna di esse e scegli elimina.

Chiudi il registro, scarica cureit da qui:
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
fai uno scan complweto del computer

[toti64]

ciao proverò con calma la prossima volta che vado dal mioamico che ha il pc infetto a fare passo dopo passo tutto ciò che mi hai con sigliato di fare.... la seconda parte mi sembra un pò complicata ma ci proverò... esempio da qui in poi.... editor, devo scrivere io il percorso oppure mi appare??

Aperto l'editor cliccando sul segno + acccanto alle singole voci, segui questo percorso:
HKEY_CURRENT_USER +
Software +
Microsoft +
Windows +
CurrentVersion +
Run
click sulla cartella run, sulla destra dovresti trovare, sulla parte destra:
spoolw"="C:\WINDOWS\system32\spoolw.exe"
igfxsvc"="C:\WINDOWS\system32\igfxsvc.exe"
MSWTL32"="C:\WINDOWS\MSATL32.exe"
"Mix Camp"="C:\DOCUME~1\User\DATIAP~1\SOFTPO~1\Default 64 Proxy.exe"
click tasto dx su ogni singola voce e scegli Elimina

Poi segui questo percorso (sempre cliccando sul segno +):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions
come sottovoci dell'ultima dovresti trovare:
Mzemz
Obgob
click tasto dx su ognuna di esse e scegli elimina.

Chiudi il registro, scarica cureit da qui:
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
fai uno scan complweto del computer

[Luke57]

Ciao, appena hai scritto regedit e dato l'OK , ti appare il registro, è una finestra con uno schema ad albero, sulla sinistra si trovano le chiavi. Basta provare ed è subito chiaro.